28-11-2012
NORA
‘bestelling’
Katern Beveiliging
Onderwerp: De verbinding tussen architectuur en normen + Integratie van beveiligingskaders voor de overheid
versie: 27 nov. 2012 Expertgroep NORA Beveiliging Speakernotes met toelichting Jaap van der Veen
Presentatie
Expertgroep NORA
1. Doelen van katern beveiliging 2. Analyse van Ist situatie; landschap van BIR, NORA 3, etc. 3. Visie op kaders en hoe zorgen we dat het werkt? 4. Wat levert de NORA-Expertgroep op en wat is verder nodig?
Werkdocument
1
28-11-2012
Doelen
Expertgroep NORA
Harmoniseren beveiligingskaders overheid. 1. Normatieve uitspraken voor Rijk, decentrale overheden en semioverheidsorganisaties of beveiligingsmaatregelen op orde zijn 2. Richtinggeven en toetsbaar maken van beveiliging, voor ontwerp en exploitatie van Informatievoorzieningen. 3. Kennisdeling
Werkdocument
2012
Analyse ISO 27002 / BIR
Wetten WBP, WEH, WCC
Standaarden ISO 2700x, BS25999
Expertgroep NORA
Regelgeving VIR, VIR-BI, ARAR, etc. Dreiging
Géén ISO principes = kenmerk waaraan een dienst geacht wordt te voldoen
De betrokken faciliteiten zijn gescheiden in zones
Géén ISO beveiligingsfuncties = manier waarop beveiliging werkt
Berichtenuitwisseling is onweerlegbaar
Beheersdoelstelling
Beheersdoelstelling BIR-TNK
Beheersmaatregel
Beheersmaatregel
Beheersmaatregel ISO 27002
Impl.Richtlijnen
Impl.Richtlijnen
Historische ordening ongeschikt voor ontwerpdoeleinden
Best practices
Impl.Richtlijnen
“Winkel van sinkel”
Werkdocument
2
28-11-2012
2009
NORA 3
Wetten WBP, WEH, WCC
Standaarden ISO 2700x, BS25999
Expertgroep NORA
Regelgeving VIR, VIR-BI, Dreiging
Principe
IB Functie
Principe
IB Functie
IB Functie
Beheersdoelstelling Beheersmaatregel
Beheersdoelstelling
Beheersmaatregel
Impl.Richtlijnen
Impl.Richtlijnen
Principe gebaseerde view op ISO
NORA principes
Principe
NORA product normen IT vz.
Beheersmaatregel
Impl.Richtlijnen
Best practices
Werkdocument
2012
Wolken en stip op horizon
BIR BIG
Provincie ?
LOGIUS
Expertgroep NORA
ISO 27002 NORA Normen IT
NCSC Web NCSC NCSC Visie: versnippering Mobiel 1. Van versnippering naar bundeling Mobiel 2. Normeer wat specifiek is voor de overheid 3. Zorg voor ISO-views op ontwerp
NCSC Web
bundeling ISO 27002 specifiek overheid
NORA ontwerp Informatie vz.
Werkdocument
3
28-11-2012
Hoe gaat het werken?
Soll
Expertgroep NORA
Richten
Bedrijfs visie
Bedrijfs doelen
PLAN
ACT Beleid
Principes
Rapport
ISO Normen
Toetsen
ISMS
NORA Normen
Risico analyse
Ontwerpen Patronen
Impl.richtlijnen
Informatie voorziening
Impl. richtlijnen
DO
CHECK
Cross-reference
Informatiesysteem
Project
Verrichten
Inrichten Werkdocument
Transitie van kaders
VAN: Diverse kaders
Strategisch
Audit
•
naar Soll
NORA principes
Expertgroep NORA
NAAR: ISO-views (toepassingskaders)
Tactisch
•
NORA dossier IT-voorzieningen
•
NCSC kaders
•
BIR-TNK
•
Toetsingskader Prov/ Gemeenten
•
Toetsingskader overige org.
Ontwerp Informatievoorzieningen overheidsbreed
Specifiek BIR ISO 27002 TNK norm Overheid
Toetsing Overheidsbreed Beveiligingsbreed
Operationeel:
Differentiatie doel en schaalgrootte via best-practices Info voorz.
Governance
•
BIR OB: Operationele Baseline
•
NCSC Webrichtlijnen
•
PvIB IB-patronen • Cross reference IRAM T&V <- > ISO/NORA
Werkdocument
4
28-11-2012
Deliverables katern IB
Expertgroep NORA
1. Samenhang van normenkaders Beveiliging voor de overheid 2. Actualisering NORA dossier “Normen voor IT-voorzieningen” tot ISOtoepassingskader voor ontwerp: “Normen voor informatievoorzieningen”, met met integratie van relevante normen uit kaders als NCSC en BIR. 3. Opstellen cross-reference ISO <-> NORA Normen voor Informatievoorzieningen 4. Nieuwe content in lijn brengen met NORA principes, Wiki etc. 5. Kennisdeling Randvoorwaarden: a. Besluit: Onderscheid ontwerp- en toetsingskaders b. Besluit: Verbreding BIR tot ISO-toepassingskader voor toetsing overheid c. Opschaling van BIR-governance model ->overheidsbreed Overig, (niet in katern) -
Verbreding BIR tot ISO-toepassingskader voor toetsing overheid
-
Integratie bestaande overige kaders zoals NCSC voor toetsing
-
Best practices voor overheidsorganisaties Werkdocument
5
